SÜDKOREA / LONDON (IT BOLTWISE) – Ein bisher undokumentiertes Linux-Toolkit wurde in manipulierten HAProxy-Load-Balancern von zwei Organisationen in Süd Korea gefunden. Die Hintertür heißt „ted“ und klinkt sich in den laufenden Verkehr ein, indem sie ausgewählte Besucher mit veränderten Webseiten bedient. Laut einer Analyse ist die Komponente keine klassische HAProxy-Schwachstelle; für die Installation braucht es Codeausführung auf dem Host. Auffällig ist zudem, dass typische Log- und Statistikspuren am Load Balancer gezielt verwischt werden.
Die aktuelle Meldung zu einer „ted“ genannten Hintertür zeigt eindrucksvoll, wie sehr sich Angreifer von reinen Exploit-Kampagnen hin zu präzisen Manipulationsketten entwickeln. Laut der Analyse wurde ein zuvor unbekanntes Linux-Toolkit direkt in trojanisierte HAProxy-Instanzen zweier Organisationen in Süd Korea eingebettet. Das Ziel ist dabei nicht „nur“ das Durchschleusen von Verkehr: Die Implantatlogik prüft Bedingungen für bestimmte Anfragen und liefert dann ausgewählte, bereits im Response-Stream veränderte Seiten aus. Damit sitzt die Schadsoftware mitten im Betriebskern eines Load Balancers und kann den Eindruck gewöhnlicher Webkommunikation erzeugen, obwohl die Gegenstelle keine klassische Backend-Sitzung sieht.
Technisch setzt die Kampagne an einem Punkt an, der in der Praxis oft als relativ „statisch“ betrachtet wird: dem laufenden HAProxy-Prozess. Die Implant-Installation erfordert laut den vorliegenden Details Codeausführung auf dem Host und die Möglichkeit, das aktuell ausgeführte Binary zu ersetzen. Wichtig ist die Abgrenzung zur Fehlerklasse: Es handelt sich nicht um eine Schwachstelle in HAProxy, die allein durch bestimmte Eingaben ausgenutzt würde. Stattdessen wird das HAProxy-Binary selbst verändert, wobei das Implantat in Debug-Strings auf den Namen „ted“ hinweist. Im Betrieb wird dann der eigene Netzwerkpfad für C2-Anfragen (Command-and-Control) genutzt, ohne dass Anfragen überhaupt „bis zum Backend“ durchgehen oder dort Spuren hinterlassen.
Besonders relevant für Incident-Response-Teams ist, wie konsequent die Komponente Spuren verwischt. Berichten zufolge werden C2-Anfragen gelöscht, bevor typische Backend-Logs sie erfassen könnten; zusätzlich werden HAProxy-interne Verbindungskanäle so behandelt, dass die Requests nicht in den üblichen Load-Balancer-Statistiken auftauchen. Das Implantat versetzt sich dabei in einen „C2-Modus“, wenn ein spezifischer Bildpfad angefragt wird, und dekrementiert anschließend die Live-Verbindungszähler, sodass die Verbindung nicht sichtbar in den Kennzahlen landet. Der eigentliche Steuerbefehl wird in einen benannten Pipe unter /tmp geschrieben; danach wird der Request-Kanal so „geleert“, dass nichts mehr weitergeleitet werden kann und der Ablauf am Load Balancer endet. Für die Gegenseite wirkt die Transaktion wie normales Browsing, weil die Antwort über den Raw-Socket als HTTP/1.0 200 OK zurückkommt.
Damit eröffnen sich mehrere operative Möglichkeiten, die für Angreifer strategisch sind: Beaconing, Dateiübertragungen, das Ausführen von Shell-Kommandos und sogar das Ersetzen der Konfiguration über genau diesen HTTP-ähnlichen Kanal. Gleichzeitig schränkt das Implantat die Wirksamkeit auf streng gefilterte Requests ein. Laut Analyse muss die Anfrage einen User-Agent tragen und zu einer Regel passen, deren URL- und Referer-Muster gleichzeitig stimmen. Die Auslieferung hängt dann entweder von einer exakt geprüften Whitelist-Mitgliedschaft in Bezug auf die Client-Adresse ab, einschließlich einer Prüfung auf /24-Ebene, oder von einem operator-seitigen Schlüssel in der Accept-Language-Header-Information, der die Adressfilterung vollständig übersteuert. Für die Manipulation selbst wird außerdem der Content-Typ und die Content-Länge auf dem Weg zur Antwort angepasst, der Status wird erzwungen und das Accept-Ranges-Header entfernt, damit Clients keine Byte-Range-Anfragen stellen können, die die Größenänderung auffällig machen würden.
Die Komplexität endet nicht beim Load Balancer. Nach den Angaben soll der Stager nur dort aktiv werden, wo HAProxy oder cron bereits laufen, und er prüft zudem Root-Rechte, bevor er „dreht“. Beim Aufsetzen wird ein legitimes crond-Binary überschrieben; das Ersatzbinary erbt dabei den Creation-Zeitstempel, der unter /usr/bin/ssh liegt. Außerdem werden laut den vorliegenden Details bestimmte Schlagworte aus dem Bash-Verlauf des Root-Benutzers sowie aus mehreren Systemlogs entfernt, darunter auth.log und audit/audit.log. Ergänzend findet sich im selben Toolkit eine trojanisierte sshd-Komponente, die erfasste Klartext-Passwörter verschlüsselt und in einen fest definierten Pfad schreibt. Dasselbe Codematerial soll außerdem in weiteren trojanisierten Binaries wie agetty, atd und polkitd wiederverwendet worden sein, was auf eine bewusst modular gebaute Toolchain statt auf einen einzelnen Zufallscode hindeutet.
Als weitere Schicht kommt eine Remote-Access-Komponente hinzu, die in der Analyse als „curlRAT“ bezeichnet wird. Sie beacon’t laut Beschreibung standardmäßig alle 12 Stunden, fällt jedoch auf einen 30-Sekunden-Takt, sobald der Operator einen entsprechenden Flag setzt. Auch hier gilt: Ohne passenden Marker wird abgebrochen, und die Logik prüft offenbar, ob die Umgebung virtualisiert ist, anhand eines Marker-Datei-Mechanismus. Zur Einordnung der potenziellen Urheberschaft stuft die Analyse die Zuordnung mit „medium confidence“ zu staatlich unterstützten Akteuren ein und verknüpft verschiedene Cluster zu getrennten Rollen innerhalb der Kette. Für die Praxis bleibt aber vor allem die technische Beweiskette entscheidend: Die Implantatlogik liest HAProxy interne Strukturen über Offsets, die auf bestimmte Release-Fassungen fest verdrahtet sind. In der verwendeten Konfiguration liefen zwei Systeme mit HAProxy 2.8.12; die Auswertung nennt zugleich, dass diese Offsets auf diese Version abgestimmt sind. Das bedeutet im Umkehrschluss: Ein simples „Update auf neuere Version“ ist allein nicht ausreichend, wenn das kompromittierte Binary bereits ersetzt wurde, denn die Angreifer ersetzen das Binary und „halten“ damit die Manipulation am Leben.
Für Verteidiger ergibt sich daraus ein klarer Handlungsfokus, der über regelmäßige Patch-Zyklen hinausgeht. Laut der Empfehlung sollten unabhängige Netzwerk-Korrelationen stattfinden, parallel zu Memory-Behavioral-Analysen und Checks auf Binary-Integrität. Gerade weil eine Recompilation von HAProxy dem Versionsstring ähnlich erscheinen lassen kann, ist die Integritätsprüfung in dieser Kampagne ein zentraler Hebel, auch wenn für genau diesen Punkt keine konkreten Detektionsregeln veröffentlicht wurden. Ergänzend hilft die Überprüfung auf das Zusammenspiel aus auffälligen C2-ähnlichen HTTP-Anfragen, nicht konsistenten Load-Balancer-Statistiken und dem Fehlen typischer Backend-Logeinträge, weil genau diese Erwartung in der Kampagne bewusst gebrochen wird. Mit Blick auf die weitere Einordnung bleibt offen, wann und über welchen Einstiegspunkt die Angreifer gestartet sind; als Hypothese wird ein kompromittiertes Groupware-Umfeld genannt, die sich auf eine frühere Forschung zu einem Groupware-Vendor über einen Mailserver-Fehler stützt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "„Ted“: Trojanisiertes HAProxy-System greift Webverkehr an und liefert manipulierte Inhalte" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "„Ted“: Trojanisiertes HAProxy-System greift Webverkehr an und liefert manipulierte Inhalte" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »„Ted“: Trojanisiertes HAProxy-System greift Webverkehr an und liefert manipulierte Inhalte« bei Google Deutschland suchen, bei Bing oder Google News!